Федеральный суд в Бостоне отправил жителя Иллинойса Кайла Свару в тюрьму на 76 месяцев за схему с кражей кодов Snapchat. История важна не только как криминальная хроника: злоумышленник не ломал платформу, а методично ломал людей, и это до сих пор самый дешёвый способ обойти защиту аккаунта.
Приговор подтвердил, что схема держалась на социальной инженерии
По данным Минюста США и BleepingComputer, 27-летний Кайл Свара с мая 2020 года по февраль 2021-го собирал номера телефонов, адреса электронной почты и имена пользователей Snapchat, а затем писал жертвам с анонимизированных номеров, выдавая себя за сотрудника Snap Inc. Он отправил такие сообщения более чем 4500 людям.
Около 570 женщин передали ему коды входа. После этого Свара без разрешения вошёл примерно в 517 аккаунтов и скачивал оттуда обнажённые или полуобнажённые снимки. Суд также назначил ему три года надзора после освобождения.
Ключевой вывод для продуктовых команд неприятно прост: двухфакторная аутентификация не спасает, если пользователь сам сообщает код. Если сервис шлёт одноразовый код, он обязан так же заметно объяснять, кому этот код нельзя диктовать ни при каких обстоятельствах.
Украденные данные он превратил в услугу
Следствие установило, что Свара не ограничился разовыми взломами. Он рекламировал свои услуги в сети, предлагал «зайти в аккаунты девушек в Snapchat» и переводил потенциальных заказчиков в Kik. Это уже не история про одного нарушителя, а про небольшой теневой рынок с заказами, повторяемой схемой и понятной монетизацией.
В материалах дела фигурирует и бывший тренер Northeastern University Стив Уэйт. По версии обвинения, он нанимал Свару для взлома аккаунтов студенток и спортсменок университета. Уэйт ещё в марте 2024 года получил пять лет тюрьмы по делу о киберсталкинге, мошенничестве и секс-вымогательстве в отношении как минимум 128 женщин.
Следствие нашло и более тяжёлые эпизоды
Во время расследования следователи обнаружили в связанном со Сварой аккаунте Mega около 530 изображений и 600 видео с материалами сексуализированного насилия над детьми. Минюст США отдельно указал, что на допросах обвиняемый отрицал и интерес к взлому Snapchat, и интерес к такому контенту, но собранные доказательства показали обратное.
Для самой истории о безопасности важна другая деталь: часть жертв Свара выбирал не случайно. Среди них были женщины из его окружения в районе Плейнфилда, штат Иллинойс, а также студентки Colby College в штате Мэн. То есть атака строилась не на редкой технической ошибке, а на знании социального контекста: кому написать, от чьего имени писать и в какой момент человек быстрее поверит.
Для рынка сигнал очевидный
Для сервисов с личной перепиской и приватными фото это прямое напоминание, где обычно рвётся защита. Риск лежит не только в паролях, но и в сценариях поддержки, уведомлениях о входе, восстановлении доступа и детекции странного поведения после авторизации. Массовая выгрузка медиа, резкая смена параметров безопасности и включение двухфакторной аутентификации с нового устройства должны считаться не просто подозрительной активностью, а ранним признаком захвата аккаунта.
Для русскоязычного рынка вывод практический: если продукт хранит личные фото, переписку или документы, предупреждение «никому не сообщайте код» должно быть частью интерфейса, а не сноской, которую никто не читает. Иначе мошенник с телефоном и готовым текстом снова окажется эффективнее, чем дорогая защита на сервере.
Оригиналы: Минюст США и BleepingComputer.